CVE-2026-34197 - Apache ActiveMQ Jolokia Execução Remota de Código (RCE)

CVE-2026-34197 é uma vulnerabilidade de Execução Remota de Código (RCE) de alta gravidade que afeta o Apache ActiveMQ Classic. O problema existe na ponte Jolokia JMX-HTTP, que expõe operações de gerenciamento via HTTP através do endpoint /api/jolokia/.

A política de acesso padrão do Jolokia permite que usuários autenticados invoquem operações de gerenciamento em MBeans do ActiveMQ. Certos métodos de gerenciamento do broker aceitam URIs de descoberta controladas pelo usuário. Uma URI especialmente elaborada pode fazer o ActiveMQ carregar um contexto de aplicação Spring XML remoto antes que a validação de configuração do broker ocorra.

Durante a inicialização, o Spring instancia beans singleton imediatamente. Como a inicialização dos beans ocorre antes de o ActiveMQ validar a configuração fornecida, definições de beans controladas pelo atacante podem executar código Java arbitrário dentro da JVM do broker. Isso pode, em última análise, resultar no comprometimento total do processo do ActiveMQ com os privilégios do serviço em execução.

Detalhes Técnicos

A vulnerabilidade afeta a interação entre vários componentes:

Apache ActiveMQ Classic
Jolokia JMX-HTTP Bridge
Extensões de Gerenciamento Java (JMX)
Operações de gerenciamento do BrokerService
ResourceXmlApplicationContext do Spring Framework

Normalmente, as operações administrativas expostas por meio do Jolokia são destinadas ao gerenciamento do broker. No entanto, certos métodos do broker aceitam referências a configurações externas.

Como o Spring carrega e instancia beans imediatamente, definições de beans maliciosas podem ser executadas antes que o ActiveMQ verifique se a configuração fornecida deveria ter sido aceita.

Esse problema de ordenação cria uma primitiva de execução de código apesar da lógica de validação subsequente.

Causa Raiz

A vulnerabilidade resulta de dois problemas de design de segurança que ocorrem juntos:

Operações administrativas JMX expostas por meio do Jolokia aceitam entrada controlada pelo atacante.
O Spring instancia beans singleton imediatamente antes de o ActiveMQ validar a configuração fornecida.

A combinação desses comportamentos permite a execução durante a inicialização do contexto da aplicação, em vez de após a validação da configuração.

Impacto

A exploração bem-sucedida pode permitir que um atacante autenticado:

Execute código arbitrário dentro da JVM do broker
Comprometa a integridade do broker de mensagens
Acesse ou manipule a infraestrutura de mensagens hospedada
Potencialmente pivote ainda mais no ambiente, dependendo da arquitetura de implantação

Versões Afetadas

As versões afetadas incluem:

Produto	Versões Vulneráveis
Apache ActiveMQ Classic	Anteriores a 5.19.4
Apache ActiveMQ 6.x	6.0.0 até 6.2.2

Os usuários devem atualizar para:

5.19.4 ou posterior
6.2.3 ou posterior

Mitigação

A Apache recomenda:

Atualize para uma versão corrigida.
Restrinja o acesso administrativo ao endpoint do Jolokia.
Limite as contas administrativas autenticadas.
Monitore alterações inesperadas na configuração do broker.
Audite o acesso ao console web do ActiveMQ.

CVE-2026-34197